Angriffssimulationen

Diese drei Bausteine vermitteln, was eine Aufzählung nicht kann: dass Sicherheit mehrschichtig ist, dass ein vergessenes System genügt, und dass nicht jede dringliche Nachricht ein Angriff ist.

Alle drei stammen aus den Live-Hacking-Modulen von coactum-nuggets, wo 42 einzelne Szenarien als je eigene Vue-Dateien lagen. Was dort wiederkehrte, steht jetzt hier als Baustein; was angegriffen wird, steht im Markdown. Die Szenarien selbst — Cloud-Fehlkonfiguration, Makro-Dokument, Deepfake-Anruf und so weiter — sind Inhalt und gehören ins Modul, nicht in die Bibliothek.

Die Flächen bleiben in beiden Modi dunkel, wie LmsCta. Eine Angriffsvorführung auf weißem Grund nimmt sich selbst die Wirkung.

LmsAttackChain

Die zentrale Einsicht, und die einzige, die sich mit einer Aufzählung nicht vermitteln lässt: die Kette muss nur an einer Stelle brechen. Wer das einmal gesehen hat — der Angriff läuft los, erreicht Stufe drei, und dort ist Schluss — argumentiert danach anders über Budgets.

Mit budget wird daraus eine Entscheidung unter Knappheit: nicht alle Maßnahmen sind bezahlbar, also entscheidet, wo in der Kette man ansetzt. Eine Stufe mit recovery: true bedeutet nicht Abwehr, sondern Wiederherstellung — der Schaden trat ein, blieb aber folgenlos.

LmsAttackSurface

Die häufigste Übungsform der Live-Hacking-Module: eine Liste von Systemen, jedes falsch konfiguriert, jedes mit einem Schalter. Wer alles umlegt, sieht den Scan ins Leere laufen; wer eines vergisst, sieht genau dort die Beute.

Die Erkenntnis entsteht durch das Ausprobieren: dass ein vergessenes System genügt, merkt man erst, wenn man drei abgesichert hat und der Scan trotzdem etwas findet.

LmsMailTriage

Die wirksamste Übungsform, weil sie die eigentliche Schwierigkeit abbildet: nicht jede dringliche Mail ist ein Angriff, und nicht jede harmlos klingende ist echt. Wer nur Phishing-Beispiele sieht, lernt Misstrauen gegen alles — hier stehen echte Nachrichten dazwischen, und ein falscher Alarm zählt als Fehler.

Die Auflösung erscheint nach der Entscheidung, nie davor. Das gilt auch für die echte Absenderadresse und die Verweisziele: LmsMockMail legt sie erst mit reveal offen, sonst stünde die Antwort schon in der Aufgabe.

LmsPhishingQuiz

Dieselbe Frage wie beim Postfach-Sortieren, aber als Einzelprüfung mit Bewertung: Die verräterische Stelle leuchtet im Text auf, nicht als Aufzählung daneben — mit einer Ziffer, die auf die Erläuterung darunter zeigt. Dazu Tipps gegen Punktabzug und am Ende eine Bilanz, die nicht nur zählt, wie viele richtig waren, sondern welche Merkmale übersehen wurden.

Übernommen aus dem PhishingQuiz der BAK-Spiele. Wer nur sortieren lassen will, nimmt LmsMailTriage — der ist schlanker und braucht keine Markierungen.

Drei Stufen, wie in der Vorlage. Das Original führt nicht gleich ins Spiel, sondern erst durch ein Tutorial: zwei Nachrichten, die selbst sagen, was sie sind. Danach kommen Level 1 und Level 2. Diese Reihenfolge ist der Lehrgang und keine Verpackung — wer noch die Bedienung sucht, achtet nicht auf die Absenderadresse. Hier ist jede Stufe ein eigener Baustein mit eigener id und eigenem Stand; im Tutorial sind die Tipps umsonst, in den beiden Leveln kosten sie Punkte.

Die Daten rechnen mit. Resturlaubsjahr, Stichtag und Verfallsfrist stehen nicht als feste Zahl im Beispiel, sondern als {datum:-1j:JJJJ} oder {datum:+120:TT.MM.JJJJ} — Versatz, Einheit, Schema. Eine Mitteilung über den „Resturlaub 2020“ verrät sich sonst an der falschen Stelle: nicht am Absender, sondern daran, dass sie aus der Konserve kommt. Der Platzhalter gilt in jedem Textfeld der Bibliothek, siehe README.

Die beiden Level arbeiten mit Zwillingen. Dieselbe Nachricht kommt zweimal — einmal echt, einmal gefälscht: die Passwort-Policy in Level 1, Resturlaub und Zeiterfassung in Level 2. Das ist der Kern der Vorlage, und er funktioniert: Wer am Thema entscheidet, liegt bei einem der beiden Zwillinge zwangsläufig falsch. Es bleibt nur, auf Adresse, Linkziel und Dateiendung zu schauen. Level 1 nimmt dafür die offensichtlichen Angriffe, Level 2 die gut gemachten — griechische Buchstaben in der Domäne, ein @ mitten in der Adresse, ein .pdf.exe hinter einem Rechnungsnamen.

Sechs Nachrichten je Level, wie im Original. Dort liegt hinter jedem Level ein größerer Vorrat, aus dem sechs gezogen werden, damit ein zweiter Durchgang andere Post bringt. Ein Baustein hat eine feste Liste — wer die Auswahl wechseln will, pflegt zwei Bausteine.

Ein Logo, und es ist erfunden — hier weichen wir ab. Die Banknachricht in Level 1 trägt einen Briefkopf (logo), und das ist kein Schmuck, sondern der Angriff selbst: Was überzeugt, ist die Marke, nicht der Text. In der Vorlage steht dafür das echte Logo einer bestehenden Sparkasse, und für eine Schulung ist das auch richtig so — geübt wird an dem, was im Posteingang wirklich ankommt. Eine Bibliothek liefert ihre Beispiele aber an alle mit, und eine fremde Bildmarke hat darin nichts zu suchen. Hier steht deshalb die erfundene „Kreisbank Auental“. Wer einen echten Kurs baut, setzt an diese Stelle die Marke, die der Angriff nachahmt — die eigene Hausbank, das eigene Intranet-Portal, den Dienst, von dem die Belegschaft täglich Post bekommt. Genau dann greift die Lektion, die der Tipp ausspricht: Ein Logo ist eine Datei, in zehn Sekunden kopiert, und beweist nichts.

LmsPasswordHunt

Die Rollen vertauscht: Der Lernende ist der Angreifer und durchsucht einen Arbeitsplatz, bis er sich anmelden kann. Am Ende steht nicht, wie schnell er war, sondern wie wenige Handgriffe es gebraucht hat — das ist der Satz, den man mitnimmt.

Übernommen aus dem PasswordGame der BAK-Spiele, einem Unity-Spiel in 3D mit 25 Leveln in drei Kampagnen. Das Umherlaufen liess sich nicht portieren, die Lektion schon.

LmsSecurityRounds

Ein Budget über Wochen statt eines einzelnen Angriffs. Was in Woche 1 zu teuer schien, zahlt in Woche 9 drauf — und am Ende steht die Rechnung: was die Vorsorge gekostet hat gegen das, was ihr Fehlen gekostet hat.

Übernommen aus SecurityCards der BAK-Spiele, einem Strategiespiel über zwölf Wochen mit Kartenshop, Resistenzen und Würfelwurf. Der Würfel ist hier absichtlich nicht dabei: Eine Schulung soll bei jedem Durchgang dieselbe Lektion erzählen.

LmsThreatMatrix

Vier Angriffe, ein gemeinsamer Vorrat an Schwachstellen — und am Ende die Rechnung, welche Schwachstelle wie viele Angriffe trägt. In den Daten der Vorlage trägt „nicht geschulte Mitarbeitende" fünf von zehn Angriffen.

Übernommen aus ThreatAttack der BAK-Spiele. Nicht LmsSorting: Dort gehört eine Karte in eine Ablage, hier trägt dieselbe Schwachstelle mehrere Angriffe — und genau das ist die Lektion.